EuGH stärkt die Durchsetzung im Datenschutzrecht

Der Europäische Gerichtshof (EuGH) hat mit seiner Entscheidung vom 04.10.2024 in der Rechtssache C‑21/23 zwei umstrittene Fragen beantwortet:

• Mitbewerber können wettbewerbsrechtlich gegeneinander wegen Datenschutzverstößen vorgehen.
  
  
• Bestelldaten in Bezug auf nicht verschreibungspflichtige Medikamente sind sensibel.

Hintergrund des Vorabentscheidungsverfahrens ist das Vorgehen eines Apothekers gegen Mitbewerber wegen des Vertriebs von apothekenpflichtigen Arzneimitteln, die nicht der Verschreibungspflicht unterliegen. Nach seiner Auffassung verstößt deren Vertrieb über Amazon insbesondere gegen datenschutzrechtliche Vorschriften.

Im Revisionsverfahren legte der Bundesgerichtshof dem EuGH die nunmehr beantworteten Fragen zur Vorabentscheidung vor. Im Einzelnen:

Aktivlegitimation bei Datenschutzverstößen

Der EuGH wird sehr deutlich, was die Verfolgung datenschutzwidriger Praktiken auf wettbewerbsrechtlichem Wege betrifft:

Dies (auch) Mitbewerbern zu ermöglichen, trage zum einen unbestreitbar zur Einhaltung der geltenden Datenschutzvorschriften und damit dazu bei, die Rechte der betroffenen Personen zu stärken und ihnen ein hohes Schutzniveau zu gewährleisten. Zum anderen sei dies zur Gewährleistung dieses Schutzes besonders wirksam, da dadurch zahlreiche Verletzungen der Rechte der von der Verarbeitung ihrer personenbezogenen Daten betroffenen Personen verhindert werden könnten.

Sensible Bestelldaten

Außerdem stellt der EuGH klar, dass Bestelldaten zu apothekenpflichtigen Arzneimitteln (Namen, Lieferadresse, bestellte Arzneimittel) Gesundheitsdaten im Sinne der DSGVO sind, auch wenn es sich hierbei nicht um verschreibungspflichtige Arzneimittel handelt. Aus diesen Daten kann mithin auf den Gesundheitszustand einer identifizierten oder identifizierbaren natürlichen Person geschlossen werden, da eine Verbindung zwischen dieser Person und einem Arzneimittel mit seiner jeweiligen Indikation hergestellt wird, unabhängig davon, ob diese Informationen den Kunden oder ggf. eine andere Person betreffen, für die der Kunde die Bestellung tätigt. Es bedarf keiner „absoluten Sicherheit“, was die Verbindung zwischen Kunde und Arzneimittel angeht; eine „gewisse Wahrscheinlichkeit“ ihres Bestehens genügt nach dem EuGH.

Vor diesem Hintergrund war die im Ausgangsstreit beanstandete Datenübermittlung von Amazon an die die Bestellung beliefernde Apotheke rechtswidrig, da sie ohne Einwilligungserklärung des Kunden erfolgte.

Anmerkungen

Die Entscheidung des EuGH darf nicht zu falschen Schlüssen verleiten:

• Es ist nicht zu befürchten, dass die nunmehr feststehende Aktivlegitimation von Mitbewerbern zu einem Missbrauch führen wird. Zum einen hat der deutsche Gesetzgeber bereits durch § 13 Abs. 4 Nr. 2 UWG ausgeschlossen, dass im Falle derartiger Verstöße der abgemahnte Mitbewerber Aufwendungsersatz schuldet, sofern er in der Regel weniger als 250 Mitarbeiter hat. Zum anderen kann bei der erstmaligen Abmahnung in Fällen, in denen regelmäßig weniger als 100 Mitarbeiter angestellt sind, nach § 13 a Abs. 2 UWG keine Vertragsstrafe gefordert werden. Beide Aspekte bremsen die nationale Rechtsdurchsetzung.

• Nicht jede Verarbeitung sensibler Daten bedarf einer Einwilligungserklärung des Betroffenen. Art. 9 DSGVO enthält eine Reihe an Erlaubnistatbeständen, die entsprechende Verarbeitungen ohne Einwilligung legitimieren. So benötigen insbesondere Apotheken im unmittelbaren Patientenkontakt auch weiterhin keine Einwilligungserklärung des Kunden bei der Abgabe apothekenpflichtiger Arzneimittel, gleich ob verschreibungspflichtig oder nicht. Die EuGH-Entscheidung betrifft ausschließlich die Datenübermittlung von der Plattform an die Apotheke. Die sich daran anschließende Datenverarbeitung durch die Apotheke ist unkritisch zulässig.